يجذب العنوان العام -مثل 203.0.113.10- محاولات الاتصال، سواء كان المكتب الصغير يعتزم نشر خدمة ما أم لا. وفي غياب سياسة لجدار الحماية، لا يحتاج المهاجم عبر الإنترنت سوى إلى العنوان ومسار مفتوح للوصول إلى الخدمات المكشوفة، أو البحث عن إعدادات ضعيفة، أو توجيه حركة البيانات نحو الشبكات الداخلية. يُعد جدار الحماية (Firewall) الجهاز الحدودي الذي يقارن كل محاولة اتصال بقواعد محددة، ليقرر بناءً عليها السماح بمرور حركة البيانات أو حظرها. وفي مختبرنا، يتمثل القرار الآمن الأول في إجراء بسيط: السماح فقط باتصال الويب العام الموجه لخدمة الويب (Web) على العنوان 192.168.40.10، وحظر أي حركة بيانات أخرى غير مطلوبة قادمة من الإنترنت. لنقم الآن بتحديد الشبكات التي يجب أن يحميها هذا القرار:
يحدد هذا المخطط العناوين والأدوار لكل جدول قواعد لاحق. يستخدم جدار الحماية العنوان .1 في كل شبكة داخلية، بينما العنوان 203.0.113.10 هو العنوان المخصص للاتصال بالإنترنت. ينتمي الجهاز PC1 إلى شبكة المستخدمين، وينتمي الجهاز Guest1 إلى شبكة ضيوف معزولة، ويُعد الجهاز AdminPC محطة العمل الوحيدة المصرح لها بإدارة جدار الحماية. يقع خادم الويب في المنطقة منزوعة السلاح (DMZ)، وهي شبكة منفصلة مخصصة للخدمات التي يجب أن تقبل حركة مرور محدودة من الإنترنت دون منح عملاء الإنترنت مساراً للوصول إلى شبكة الخوادم.
[المصادر][/المصادر]
لا ينبغي بأي حال أن يتمكن المهاجم الذي يصل إلى واجهة الشبكة الواسعة (WAN) من الوصول إلى الخادم File (العنوان 192.168.20.20) أو إلى خادم الدليل وDNS (العنوان 192.168.20.10). إن فصل هذه الأنظمة في شبكات محلية افتراضية (VLANs) يخلق حدوداً فاصلة، لكن الشبكات الافتراضية وحدها لا تحدد الحزم المسموح لها بالعبور؛ بل يتخذ جدار الحماية هذا القرار بناءً على قواعد صريحة مطبقة بين الشبكات.
[المصادر][/المصادر]
قاعدة الحدود يوفر قطاع الشبكة حماية للنظام فقط عندما يرفض جدار الحماية حركة المرور التي ليس لها غرض عملي محدد. [المصادر][/المصادر]
توفر تدفقات حركة المرور الخمسة المتكررة في المختبر اختبارات ملموسة لكل نوع من أنواع جدران الحماية ومجموعات القواعد. يحتاج الجهاز Guest1 إلى خدمة تحليل أسماء النطاقات (DNS) للوصول إلى الإنترنت، ولكن ليس لدى جهاز الضيف أي مبرر عملي لفتح اتصال مشاركة ملفات (Windows) مع الخادم File عبر منفذ TCP رقم 445. في المقابل، قد يحتاج الجهاز PC1 إلى اتصال مشاركة الملفات هذا. يمكن للإنترنت الوصول إلى خادم الويب الموجود في المنطقة منزوعة السلاح (DMZ) عبر منفذ TCP رقم 443، بينما يجب أن يقتصر الوصول إلى صفحة إدارة جدار الحماية عبر منفذ TCP رقم 443 على الجهاز AdminPC فقط.
[المصادر][/المصادر]
يتخذ جدار حماية تصفية الحزم (Packet-filtering firewall) قراره بناءً على الحقول الظاهرة في حزمة واحدة، بما في ذلك عنوان المصدر، وعنوان الوجهة، والبروتوكول، والمنفذ. يمكن لقاعدة ما أن تسمح بمرور حركة المرور عبر منفذ UDP رقم 53 من الجهاز Guest1 إلى العنوان 8.8.8.8، أو ترفض حركة المرور عبر منفذ TCP رقم 445 من شبكة الضيوف إلى شبكة الخوادم. تُعد تصفية الحزم عملية سريعة ومفيدة، لكن الحزمة بحد ذاتها لا توضح ما إذا كانت تنتمي إلى اتصال مشروع بدأ في وقت سابق.
[المصادر][/المصادر]
يسجل جدار الحماية المدرك للحالة (Stateful firewall) الاتصالات النشطة في جدول خاص بالحالة. عندما يبدأ الجهاز PC1 اتصالاً مصرحاً به لمشاركة الملفات مع الخادم File، يسمح جدار الحماية المدرك للحالة بمرور الحزم العائدة لأنها تطابق ذلك الاتصال المسجل. الحزمة غير المطلوبة القادمة من الإنترنت لا تملك حالة مطابقة، لذا يمكن لجدار الحماية رفضها ما لم تكن هناك قاعدة تسمح صراحةً بالاتصال الجديد. يمنع هذا السلوك تطبيق قاعدة عامة وخطيرة قد تسمح بمرور جميع حركات البيانات التي تبدو وكأنها استجابات عائدة (return-looking traffic) من أي اتجاه.
[المصادر][/المصادر]
يمكن لجدار الحماية المدرك للتطبيقات (application-aware firewall) فحص المعلومات التي تتجاوز مستوى المنافذ والعناوين، مثل طلبات HTTP أو استعلامات DNS. وعادةً ما يجمع جدار الحماية من الجيل التالي بين الفحص المعتمد على الحالة (stateful inspection) وفحص التطبيقات واكتشاف التهديدات. إن الفحص الأكثر عمقاً لا يغني عن وجود حدود واضحة؛ إذ يجب على جدار الحماية أولاً تحديد ما إذا كان يُسمح لشبكة “الإنترنت” بالاتصال بشبكة “الويب” عبر بروتوكول HTTPS، ثم يساعد الفحص في تحديد حركة البيانات التي تخالف الاستخدام المتوقع لهذا المسار المسموح به. [المصادر][/المصادر]
أي من تدفقات البيانات الخمسة يجب أن يعبر الحدود، وأيها يجب أن يتوقف عند جدار الحماية؟ يوضح الجدول التالي القرار المتوقع وسبب الرفض: [المصادر][/المصادر]